LINUX.ORG.RU

Разработчики Linux и Windows работают над закрытием аппаратной уязвимости процессоров Intel

 , , ,


10

8

Ошибка проектирования всех процессоров Intel, выпущенных за последние 10 лет, заставила разработчиков Linux и Windows в срочном порядке перерабатывать схему разделения адресных пространств ядра и пользователя, брешь в которой вызвана этой ошибкой. По известным сейчас данным, переработка требует модификации критических частей ядра и приводит к падению производительности приложений от 5 до 30% (чипы Intel 2010 года и новее имеют в своём арсенале возможности, чтобы сократить это падение).

Суть уязвимости, скорее всего, заключается в том, что спекулятивное исполнение кода косвенно нарушает контроль доступа, и это позволяет приложению «видеть» содержимое защищенного адресного пространства ядра (раннее описание). Детали уязвимости находятся под эмбарго до выпуска исправлений, который намечается на середину января 2018, когда выйдет новое ядро Linux и ежемесячное обновление безопасности для Windows.

Для решения проблемы разработчикам ядер пришлось полностью разделить память ядра и память пользовательских процессов, однако такое решение приводит к серьёзному падению производительности из-за необходимости сброса части кэша транслированных виртуальных адресов (TLB) при входе в ядро.

Разработчики ядра Линукса в шутку предлагали следующие аббревиатуры для новой модели разделения памяти ядра и пользовательских процессов: User Address Separation (*_uass) и Forcefully Unmap Complete Kernel With Interrupt Trampolines (fuckwit_*), однако остановились на Kernel Page Table Isolation (kpti_*).

Компания AMD утверждает, что её процессоры уязвимости не подвержены.

Обсуждение патча на LWN, с результатами тестов.

Общие подробности от издания The Register

>>> Технические подробности, демонстрационный код PoC

★★★★★

Проверено: tailgunner ()
Последнее исправление: anonymous_incognito (всего исправлений: 6)

Если кто-то не знает английский, то завтра на opennet появится более развёрнутая новость с дополнениями от Максима Чиркова, а пока он спит.

anonymous
()

Ох, забыл добавить: «Работа над исправлением уязвимости в других ОС так же активно ведётся».

Всех с новой цифрой христианского календаря!

anonymous
()

Так вот в чём дело, что в «стабильный» 4.14.x, вдруг, полилась гора патчей page table isolation.

Краткая новость есть на LWN. Длинная (будет) доступна с 4 января.

grsecurity высказались, что они с 2003-го года что-то там уже пофиксили.

Интересная ссылка с LWN: The mysterious case of the Linux Page Table Isolation patches.

gag ★★★★★
()

Забыл ещё добавить ссылку на показания AMD: https://lkml.org/lkml/2017/12/27/2

AMD processors are not subject to the types of attacks that the kernel page table isolation feature protects against. The AMD microarchitecture does not allow memory references, including speculative references, that access higher privileged data when running in a lesser privileged mode when that access would result in a page fault.

Disable page table isolation by default on AMD processors by not setting the X86_BUG_CPU_INSECURE feature, which controls whether X86_FEATURE_PTI is set.

anonymous
()

Ещё одно дополнение: «Проблема возможно уже исправлена в ядре 4.14.11, учитывая огромный размер инкрементного патча (229KiB)».

Блин. У меня Intel :(

anonymous
()
Ответ на: комментарий от gag

Я думаю, в аппаратном виде защита от этой дыры - не сильно большое изменение code path (не знаю как это в силиконе называется), которое в худшем случае замедлит исполнение на 0.05% - просто Intel'ы ошиблись со страшной силой, ошибку никто не увидел - тащат её уже 10 лет.

С вероятностью 99% её пофиксили в Cannon Lake и 100% в Ice Lake.

Вообще, если падение производительности подтвердится на широком круге задач, то Intel ждёт обвал акций, а AMD взлетит.

// b.

anonymous
()
Ответ на: комментарий от anonymous

С Zen'ом тоже не всё очень чисто: загадочные падения. Насколько помню, только с биосом, где заранее какая-то фича выключена, он работает стабильней, но снова таки с небольшой просадкой производительности.

gag ★★★★★
()
Ответ на: комментарий от anonymous

Вообще, если падение производительности подтвердится на широком круге задач, то Intel ждёт обвал акций, а AMD взлетит.

Интеловские процессоры уже не в первый раз продолжительное время продаются не то что по стартовой цене, а даже выше, так что у них там, полагаю, такой буфер уже накоплен. Может, пойдёт наконец-то на пользу активных пользователей, а не пассивных акцие-держателей.

gag ★★★★★
()
Последнее исправление: gag (всего исправлений: 1)
Ответ на: комментарий от tailgunner

Предлагаю вам подождать неделю, прежде чем подтверждать новость :-) Она ещё не достаточно протухла. :-)

На /. reddit и куче IT ресурсов уже вой поднялся. ;-)

anonymous
()

Я правильно понимаю, что с исправлением система начнет работать безопасно, но медленно?

Aceler ★★★★★
()

за то интел круче амд - потому что дороже в 3 раза, а все остальные нищедроты...

amd_amd ★★★★★
()
Ответ на: комментарий от Aceler

безопасно

Ровно до тех пор, пока не найдут ещё один подобный баг. С учётом современных реалий - это всего-лишь дело времени.

DawnCaster ★★
()

меня всегда смущал «длинный» конвеер x86.

demidrol ★★★★★
()
Ответ на: комментарий от gag

Для antiX-17 / MX Linux MX-17 уже обновления прилетели

Так вот в чём дело, что в «стабильный» 4.14.x, вдруг, полилась гора патчей page table isolation.

Из коммента от Zlo

$ sudo apt install linux-headers-4.14.9-antix.1-amd64-smp && linux-image-4.14.9-antix.1-amd64-smp



приплыло вчера кажется в апдейтах

MX-17 «Horizon» (комментарий)

atsym ★★★★★
()
Последнее исправление: atsym (всего исправлений: 1)
Ответ на: комментарий от anonymous

Что это у них за какой-то du -sh benchmark, есть результаты какими-то нормальными воспроизводимыми тестами сделанные?

praseodim ★★★★★
()

Зашибись новость. Теперь не только проц от AMD нужно брать, но и ядро пересобирать новое, дабы не тормозило?

Vsevolod-linuxoid ★★★★★
()

birdie

I am not returning to this website any time soon unless I am bestowed an administrator's credentials.

This information was updated on the 18th of March 2015.

Давно пора либо вновь ее обновить, либо выложить пароль.

dexpl ★★★★★
()
Ответ на: комментарий от Aceler

с исправлением система начнет работать безопасно

Ты же понимаешь...
О чем говорить, когда в чипсете легальный бэкдор.

wxw ★★★★★
()

Рад за AMD, что они не допустили такой оплошности. Жду развёрнутой новости и комментариев касаемо защиты в Grsecurity.

Chaser_Andrey ★★★★★
()
Ответ на: комментарий от anonymous

Конечно вой поднимется, ибо дырка идеальна для всяких АНБ, которые спят и видят как влезать в мозги любого железа, вплоть до контроля трансконтинентального траффика.

menangen ★★★★★
()
Ответ на: комментарий от ritsufag

На фоне хрюкающего кошмарского незаметно

wxw ★★★★★
()
Ответ на: комментарий от DawnCaster

Ну я имею в виду относительно данной конкретной уязвимости, естественно.

Aceler ★★★★★
()
Ответ на: комментарий от system-root

ядро пересобирать не надо, можно отключить через параметр командной строки. Хотя я думаю найдут способы как воспользоваться этой дырой из браузера, и любой вебсайт сможет прочитать все твои пароли.

pftBest ★★★★
()
Последнее исправление: pftBest (всего исправлений: 2)

По известным сейчас данным, переработка требует модификации критических частей ядра и приводит к падению производительности приложений от 5 до 30%

Суть уязвимости, скорее всего, заключается в том, что спекулятивное исполнение кода косвенно нарушает контроль доступа, и это позволяет приложению «видеть» содержимое защищенного адресного пространства ядра

Для решения проблемы разработчикам ядер пришлось полностью разделить память ядра и память пользовательских процессов, однако такое решение приводит к серьёзному падению производительности из-за необходимости сброса части кэша транслированных виртуальных адресов (TLB) при входе в ядро.

Теперь и винда и линукс превратят мой i7 3770 в калькулятор? Хорошие новости в новом году!

Deleted
()
Ответ на: комментарий от anonymous

С вероятностью 99% её пофиксили в Cannon Lake и 100% в Ice Lake.

Откуда дровишки? Кстати из всей новости так и не понял: Интел собирается аппаратно ошибку исправлять или нет?

GladAlex ★★★★★
()

И, да, судя по всему, теперь не KPTI, а просто PTI.

stefan
()

Штеуд никто ж в шею не гонит. Дык чего ж они косячат?

Компания AMD утверждает, что её процессоры уязвимости не подвержены.

А если найду? =))

Deleted
()

А Apple что? 😯

Similar operating systems, such as Apple's 64-bit macOS, will also need to be updated – the flaw is in the Intel x86 hardware, and it appears a microcode update can't address it. It has to be fixed in software at the OS level, or go buy a new processor without the design blunder.

А вы не могли на несколько дней раньше? Когда я новый ноутбук покупал 🤬

fornlr ★★★★★
()
Последнее исправление: fornlr (всего исправлений: 1)

Для решения проблемы разработчикам ядер пришлось полностью разделить память ядра и память пользовательских процессов

т.е. до этого разделение было частичным? как же амд? резделять ненужно?

как вариант зщитной меры перевести на квм с хостом амд и эмуляцией процов 10 летней давности или на амд эмуляцию

и 32 разряда снова могут быть востребованы

anonymous
()

ШЕРЕТО! А вообще я уже давно перестал удивляться - x86 вообще целиком состоит из таких костылей. Да и остальные не сильно лучше.

StReLoK ☆☆
()
Ответ на: комментарий от fornlr

Так было задумано. Чтобы народ тряхнул мошной на Рождество/НГ/Рождество, а потом «обрадовать».

«Шок - это по-нашему» (ц) =))

Deleted
()

и эти люди запрещают нам ковыряться в носу. что с openbsd, они тоже будут патчить ядро как будто завтра не наступит, или про них забыли? и что там у интела ещё хорошего? вроде бы вяйленд - это тоже их креатура, очень ориентированная на безопасность, ну просто очень.

все (в машину) на ядро 2.6.32 чтобы компьютер не тормозил.

anonymous
()
Ответ на: комментарий от Deleted

В этом и проблема - все слишком привыкли к 3.5 архитектурам и отсутствию конкурентов. Может хоть после 7 нм (или уже после 10) начнется новая процессорная гонка?

StReLoK ☆☆
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.